Vad kostar det att inte följa lagen?

Artikel 34 anger tak som medlemsstaterna ska säkerställa, inte fasta belopp att utdöma. Den engelska språkversionen skriver dessutom a maximum of at least, alltså ett golv för vad det nationella taket minst ska rymma, och medlemsstater får sätta högre.

Medlemsstaterna ska säkerställa att väsentliga entiteter som överträder artikel 21 eller 23, i enlighet med punkterna 2 och 3 i den här artikeln påförs administrativa sanktionsavgifter på högst 10 000 000 EUR eller högst 2 % av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den väsentliga entiteten tillhör, beroende på vilken siffra som är högst.

Konstruktionen med ett fast belopp och en andel av omsättningen, där det högre gäller, gör att taket skalar med verksamhetens storlek. För ett mindre bolag är det fasta beloppet högre än andelen. För en stor koncern är förhållandet det omvända.

Det som skiljer NIS2 från föregångaren är inte i första hand nivåerna utan att de är obligatoriska. Under NIS1 hade medlemsstaterna stor frihet att bestämma påföljder, och efterlevnaden blev därefter.

För de flesta verksamheter är den realistiska risken inte ett maxbelopp utan de indirekta konsekvenserna: ett tillsynsärende som binder ledningens tid, krav från kunder som själva omfattas, och den granskning som följer efter en incident.

Sanktionerna kopplar till bristande efterlevnad av kraven, inte till att en incident inträffat. Att bli angripen är inte i sig en överträdelse.

Det som granskas är om riskhanteringsåtgärderna fanns, om ledningen tagit sitt ansvar, och om rapporteringsskyldigheterna följdes. Det är därför dokumentationen betyder så mycket: den är skillnaden mellan att ha gjort arbetet och att kunna visa det.